"__main__": payload = "!!python/object/apply:__main__.ShellExp ['/bin/sh']" yaml.load(payload) 小心 服务端模板注入(SSTI) from flask import Flask from flask request, render_template_string app = Flask(__name__) render_template_string(tpl, person=person) if __name__ == "__main__": app.run(debug=True 应对： 不要使用%s，而应在模板中直接使用{{var}}。 小心 注入攻击 query = “SELECT * FROM accounts WHERE uid = ‘” + request.args.get(“uid”) + ”’” resuts '1'='1 SELECT * FROM accounts WHERE uid = '' or '1'='1' 应对： 对外部输入进行完善的检查、过滤、转义操作后，再进行执行。 参考资料：“驹说码事”《注入的原理与防御措施》 https://mp.weixin.qq.com/s/Zd81qlcWJi4H1AD9WzPX7w 小心 PyPI 依赖包 不要以为 Star 多的包就不存在漏洞； 更不要以为

1.11 1.12 1.13 1.14 1.15 目录 简介 前言 第 1 章：准备工作 第 2 章：Hello, Flask! 第 3 章：模板 第 4 章：静态文件 第 5 章：数据库 第 6 章：模板优化 第 7 章：表单 第 8 章：用户认证 第 9 章：测试 第 10 章：组织你的代码 第 11 章：部署上线 小挑战 后记 2 Flask 入门教程 开发实战》的作者，Pallets Team 成员。你可以在我 的个人主页了解更多关于我的信息。 目录 前言 第 1 章：准备工作 第 2 章：Hello, Flask! 第 3 章：模板 第 4 章：静态文件 第 5 章：数据库 第 6 章：模板优化 第 7 章：表单 第 8 章：用户认证 第 9 章：测试 第 10 章：组织你的代码 第 11 章：部署上线 小挑战 后记 版权信息 书名：Flask 上是 Star 数量最多的 Python Web 框架，没有之一。 Flask 是典型的微框架，作为 Web 框架来说，它仅保留了核心功能：请求响应处理 和模板渲染。这两类功能分别由 Werkzeug（WSGI 工具库）完成和 Jinja（模板渲 染库）完成，因为 Flask 包装了这两个依赖，我们暂时不用深入了解它们。 主页 这一章的主要任务就是为我们的程序编写一个简单的主页。主页的 URL

.......................................................................................... 422 使用模板 .................................................................................................. 块代码的第一个字 符串都被视为模块的文档注释； 第 6 行使用__author__变量把作者写进去，这样当你公开源代码后别人 就可以瞻仰你的大名； 以上就是 Python 模块的标准文件模板，当然也可以全部删掉不写，但 是，按标准办事肯定没错。 Python3 基础教程【完整版】 http://www.yeayee.com/ 155/531 后面开始就是真正的代码部分。 save('thumb.jpg', 'JPEG') 其他常用的第三方库还有 MySQL 的驱动：mysql-connector-python，用 于科学计算的 NumPy 库：numpy，用于生成文本的模板工具 Jinja2，等 等。 模块搜索路径 当我们试图加载一个模块时，Python 会在指定的路径下搜索对应的.py 文件，如果找不到，就会报错： >>> import mymodule

1.3 格式字符串语法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103 6.1.4 模板字符串 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109 6.1.5 辅助函数 filedialog --- 文件选择对话框. . . . . . . . . . . . . . . . . . . . . . 1334 25.4.3 tkinter.commondialog --- 对话窗口模板 . . . . . . . . . . . . . . . . . . . . . 1336 25.5 tkinter.messagebox --- Tkinter 消息提示 . . . . . --- 终端管道接口 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1875 35.17.1 模板对象 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1876 35.18 smtpd

格式字符串语法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111 6.1.4 模板字符串 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 118 6.1.5 --- 文件选择对话框. . . . . . . . . . . . . . . . . . . . . . . . 1427 25.4.3 tkinter.commondialog --- 对话窗口模板 . . . . . . . . . . . . . . . . . . . . . . . 1429 25.5 tkinter.messagebox --- Tkinter 消息提示 . . . 终端管道接口 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2002 35.17.1 模板对象 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2003 35

1.3 格式字符串语法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109 6.1.4 模板字符串 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 115 6.1.5 辅助函数 --- 文件选择对话框. . . . . . . . . . . . . . . . . . . . . . . . 1449 25.4.3 tkinter.commondialog --- 对话窗口模板 . . . . . . . . . . . . . . . . . . . . . . . 1451 25.5 tkinter.messagebox --- Tkinter 消息提示 . . . --- 终端管道接口 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2039 36.14.1 模板对象 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2039 36.15 sndhdr

1.3 格式字符串语法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109 6.1.4 模板字符串 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 115 6.1.5 辅助函数 --- 文件选择对话框. . . . . . . . . . . . . . . . . . . . . . . . 1449 25.4.3 tkinter.commondialog --- 对话窗口模板 . . . . . . . . . . . . . . . . . . . . . . . 1451 25.5 tkinter.messagebox --- Tkinter 消息提示 . . . --- 终端管道接口 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2039 36.14.1 模板对象 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2039 36.15 sndhdr

1.3 格式字符串语法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109 6.1.4 模板字符串 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 115 6.1.5 辅助函数 filedialog --- 文件选择对话框. . . . . . . . . . . . . . . . . . . . . . 1432 25.4.3 tkinter.commondialog --- 对话窗口模板 . . . . . . . . . . . . . . . . . . . . . 1434 25.5 tkinter.messagebox --- Tkinter 消息提示 . . . . . --- 终端管道接口 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2024 36.17.1 模板对象 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2024 36.18 smtpd

格式字符串语法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117 6.1.4 模板字符串 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 124 6.1.5 --- 文件选择对话框. . . . . . . . . . . . . . . . . . . . . . . . 1528 25.4.3 tkinter.commondialog --- 对话窗口模板 . . . . . . . . . . . . . . . . . . . . . . . 1530 25.5 tkinter.messagebox --- Tkinter 消息提示 . . . 终端管道接口 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2161 36.17.1 模板对象 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2162 36

1.3 格式字符串语法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 113 6.1.4 模板字符串 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 120 6.1.5 辅助函数 --- 文件选择对话框. . . . . . . . . . . . . . . . . . . . . . . . 1483 25.4.3 tkinter.commondialog --- 对话窗口模板 . . . . . . . . . . . . . . . . . . . . . . . 1485 25.5 tkinter.messagebox --- Tkinter 消息提示 . . . printf 风格的字符串格式化 � 备注 此处介绍的格式化操作具有多种怪异特性，可能导致许多常见错误（例如无法正确显示元组和字典）。 使用较新的 格式化字符串字面值，str.format() 接口或模板字符串 有助于避免这样的错误。这些 替代方案中的每一种都更好地权衡并提供了简单、灵活以及可扩展性优势。 字符串具有一种特殊的内置操作即 % (求模) 运算符。这也被称为字符串的 格式化或 插值运算符。对于给